Jornada

Política de Privacidade — Gestão 2M Jornada

Versão 1.0 — 31 de agosto de 2026

Aviso: este documento é a versão vigente da Política de Privacidade da Gestão 2M Jornada, redigida em conformidade com a Lei nº 13.709/2018 (LGPD). Preservar numeração de seções nas versões futuras.

Partes envolvidas no tratamento

CONTROLADORA DA PLATAFORMA: pessoa juridica de direito privado, atuando sob a marca comercial Gestão 2M ('CONTRATADA'). Dados completos de identificacao (CNPJ, razao social e endereco) sao apresentados ao CONTRATANTE no ato da contratacao.

CONTATO DO ENCARREGADO (DPO): contato@gestao2m.com.br

PAPEL: a CONTRATADA atua como Controladora dos dados de responsaveis pelas empresas contratantes (nome, CPF, e-mail, telefone) e como Operadora dos dados dos empregados inseridos no sistema pelas empresas contratantes. A empresa contratante e a Controladora dos dados de seus proprios empregados.

1. Que dados a gente coleta

1.1. Do responsável pela contratação (você, dona ou representante da empresa)

  • Nome completo
  • CPF ou CNPJ
  • E-mail
  • Telefone
  • Endereço IP e user-agent do navegador no ato do aceite do Termo
  • Dados de pagamento (processados diretamente pelo Asaas — a gente não guarda número de cartão)

1.2. Da empresa contratante (dados cadastrais)

  • Razão social / nome fantasia
  • CNPJ
  • Fuso horário
  • Endereço (opcional)
  • Logo (opcional)

1.3. Dos empregados cadastrados no sistema

  • Nome
  • CPF
  • Matrícula (opcional)
  • Cargo (opcional)
  • Escala de trabalho
  • Batidas de ponto (data, hora, tipo, origem)
  • Foto do momento da batida (opcional — só se a empresa ativar o recurso no terminal)
  • E-mail e PIN pra o Minha Jornada (opcional)

1.4. De navegação (landing pública)

  • IP e user-agent (registrado em `landing_hits` pra proteção anti-bot)
  • Cookies do Google Ads / Google Analytics (apenas se você aceitar — banner de cookies)

2. Pra que a gente usa esses dados

Dado Finalidade Base legal (LGPD)
Nome, CPF, e-mail do responsável Cadastrar a empresa, emitir cobrança, notificar sobre o serviço Execução de contrato (Art. 7º, V)
IP + timestamp do aceite Provar que o Termo de Uso foi aceito Execução de contrato (Art. 7º, V) + exercício regular de direitos em processo (Art. 7º, VI)
Dados dos empregados Prestar o serviço de controle de jornada contratado pela empresa Execução de contrato entre empresa e empregado + interesse legítimo (Art. 7º, IX)
Batidas de ponto Registrar jornada Execução de contrato de trabalho
Foto opcional do terminal Confirmação de identidade na batida Legítimo interesse (Art. 7º, IX) — ativação opcional pela empresa
Cookies de marketing Medir eficácia de campanhas Consentimento (Art. 7º, I)
IP de navegação Proteção anti-bot Legítimo interesse

3. Com quem a gente compartilha

A gente não vende dado pessoal. Compartilha só com prestadores de serviço necessários pra operar a plataforma:

  • Asaas (gateway de pagamento) — dados do responsável e valores das cobranças. https://www.asaas.com/politica-privacidade
  • EasyPanel + provedor de hospedagem (infraestrutura) — armazenamento do banco de dados e das imagens do terminal.
  • Google Ads / Analytics — apenas cookies de navegação da landing, e apenas se você aceitar.
  • SMTP (provedor de e-mail transacional) — quando a gente envia e-mail de senha, aceite ou notificação.
  • Autoridades públicas — quando exigido por lei, ordem judicial ou requisição fundamentada.

A CONTRATADA firmou (ou vai firmar, dentro do prazo legal) contratos de operador com esses parceiros, exigindo o mesmo padrão de proteção.

4. Onde os dados ficam

Servidores hospedados no Brasil (EasyPanel + provedor de infraestrutura). Backups criptografados guardados pelo mesmo provedor.

Não há transferência internacional de dados. Cookies do Google podem ser processados no exterior — se você aceitar o banner de cookies, essa autorização cobre a transferência (Art. 33 da LGPD).

5. Por quanto tempo a gente guarda

Dado Prazo
Dados cadastrais da empresa Enquanto durar o contrato + 5 anos após rescisão (execução de contrato + exercício regular de direitos em processo — Art. 7º V e VI da LGPD; prazo prescricional civil de referência)
Batidas de ponto Enquanto durar o contrato + 5 anos após rescisão (execução de contrato + exercício regular de direitos em processo — Art. 7º V e VI da LGPD)
Fotos do terminal 30 dias corridos a partir da captura, depois excluídas automaticamente
Aceite do Termo de Uso (versão, IP, timestamp) 10 anos (defesa em disputa)
Cookies de marketing 90 dias ou até você recusar/limpar
Logs de acesso e segurança 6 meses (Marco Civil da Internet, Art. 15)

Após a rescisão, a gente disponibiliza exportação dos dados por até 30 dias corridos.

6. Direitos do titular (você e seus funcionários)

A LGPD garante os seguintes direitos, exercidos por e-mail ao encarregado:

  • Confirmação de existência de tratamento
  • Acesso aos seus dados
  • Correção de dados incompletos, inexatos ou desatualizados
  • Anonimização, bloqueio ou eliminação de dados desnecessários
  • Portabilidade dos dados
  • Eliminação dos dados tratados com consentimento
  • Informação sobre com quem a gente compartilhou seus dados
  • Revogação do consentimento, quando essa for a base legal

Para funcionários da empresa contratante: a solicitação deve ser feita à própria empresa (que é a Controladora desses dados), que aciona a Gestão 2M para atender.

Como pedir: e-mail para contato@gestao2m.com.br com "LGPD" no assunto. Prazo de resposta: 15 dias corridos.

7. Segurança

Medidas técnicas e organizacionais adotadas (Art. 46 LGPD):

  • Senhas armazenadas com hash bcrypt.
  • Acesso ao painel por login individual e perfis com permissão granular.
  • Isolamento de dados por schema no banco (uma empresa não enxerga a outra).
  • TLS/HTTPS em todo tráfego.
  • Logs de auditoria das operações críticas (login, alteração, exclusão).
  • Backup diário criptografado.
  • Revisão periódica de acessos.

8. Incidente de segurança

Se acontecer um incidente que envolva dados pessoais e possa gerar risco relevante aos titulares, a CONTRATADA:

  • Notifica a ANPD e os titulares afetados em prazo razoável (Art. 48 LGPD).
  • Comunica a natureza dos dados, os titulares envolvidos, as medidas tomadas e as recomendações ao titular.
  • Registra o incidente em log interno permanente.

9. Menores de idade

O sistema não é destinado a menores de 16 anos. Se você identificar cadastro de menor sem consentimento dos pais, avise imediatamente pelo e-mail do encarregado que a gente elimina o registro.

10. Cookies e tecnologias similares

A landing pública usa:

  • Cookies essenciais (sessão, CSRF, proteção anti-bot) — sempre ativos.
  • Cookies de marketing (Google Ads, Google Analytics) — apenas se você aceitar o banner de consentimento.

Você pode limpar cookies pelo navegador a qualquer momento. Isso não afeta o funcionamento do painel logado.

11. Alterações desta Política

A CONTRATADA pode alterar esta Política a qualquer tempo. Alterações substanciais serão comunicadas por e-mail e no painel com antecedência de 30 dias corridos. A continuidade de uso após esse prazo implica aceitação da nova versão.

Versões anteriores ficam arquivadas no repositório do sistema e podem ser solicitadas pelo e-mail do encarregado.

12. Foro

Fica eleito o foro da Comarca de São José dos Campos, Estado de São Paulo, com renúncia expressa a qualquer outro, para dirimir quaisquer controvérsias oriundas desta Política.

Última atualização: 31 de agosto de 2026 — Versão 1.0

Encarregado de Proteção de Dados: contato@gestao2m.com.br

Versão vigente: 1.0 — 31/08/2026.